Ferozo Webmail 文件上传导致的 XSS 漏洞 (CVE-2024-33231)

描述

Ferozo Webmail 版本 1.1 存在通过文件上传功能导致的跨站脚本（XSS）漏洞。攻击者可利用此漏洞上传特制文件，其中包含恶意 JavaScript 代码。当文件在应用程序内被处理或查看时，嵌入的脚本会在受害者会话中执行，可能导致：

• 会话劫持
• 未授权操作
• 敏感信息窃取

此漏洞源于上传过程中对文件元数据和内容缺乏充分的清理与验证，使恶意用户能够注入未授权脚本并危及网络邮件平台的安全。

攻击复杂度

• 低

所需权限

• 低（需要经过身份验证的用户才能上传文件。）

用户交互

• 需要（用户或管理员必须与上传的文件交互或打开该文件。）

受影响组件

• 文件上传功能：漏洞存在于文件上传功能中，不当的清理与验证导致与上传文件交互的任何用户的浏览器中执行恶意 JavaScript 代码。

影响

• 未授权脚本执行：XSS 漏洞允许在用户会话中执行恶意 JavaScript 代码。
• 会话劫持与凭证窃取：攻击者可以劫持用户会话、窃取敏感信息或在受害者会话下执行未授权操作。

修复建议

• 输入验证与清理：在上传过程中对所有文件元数据和内容进行适当的验证和清理。
• 限制文件类型：限制可上传的文件类型，以防止嵌入脚本的执行。
• 安全措施：实施额外的安全控制，确保上传的文件得到正确处理并不执行未授权脚本。

---

CVE-2024-33231
由 [Facundo Fernandez / 安全研究员] 报告